ゼロトラストアーキテクチャとは
ゼロトラストアーキテクチャは、「何も信頼しない（Zero Trust）」を前提としたセキュリティの設計思想です。従来のセキュリティは、社内ネットワーク（境界の内部）は安全で、外部インターネットは危険という「境界防御」の考え方でした。しかし、テレワークの普及やクラウドサービスの利用増加に伴い、社内外の境界が曖昧になりました。ゼロトラストでは、アクセス元が社内であっても社外であっても、アクセスする人、端末、データごとにその都度厳密に認証・認可を行い、常に安全性を確認します。
具体例
社員が自宅のPCから社内の業務システムにアクセスする際、正しいID・パスワードの入力だけでなく、多要素認証（スマホへの通知や生体認証）を求め、さらにその PC が最新のウイルス対策ソフトを導入しているか（安全な状態か）を毎回自動的にチェックして、すべてクリアした場合にのみアクセスを許可します。
【ゼロトラストの検証プロセス例】\n・だれがアクセスしているか？ (ID/パスワード + 多要素認証)\n・どの端末からか？ (会社支給の安全なデバイスか)\n・何をしようとしているか？ (許可されたデータのみへ最小限のアクセス権を付与)\n⇒ これらを「接続するたび」に毎回検証します。もう少し詳しく
ゼロトラストアーキテクチャは、米国国立標準技術研究所（NIST）が発行した「SP 800-207」によってその基本原則（7つの柱）が定義されています。その核となるのが「すべてのアクセスを検証し、明示的に認可すること」「最小限の特権アクセスのみを付与すること」「すべての通信を暗号化すること」などです。従来の境界防御モデルでは、一度社内VPNなどを通じてネットワークに侵入を許してしまうと、内部のすべてのサーバーやデータベースへのアクセスが比較的容易になる「ラテラルムーブメント（横展開）」のリスクを抱えていました。ゼロトラストモデルでは、すべてのリソース（アプリケーションやデータベースなど）が論理的に細分化（マイクロセグメンテーション）されており、アクセスが発生するたびにユーザーのアイデンティティ（ID）や使用している端末のセキュリティ状態（パッチ適用状況やウイルス感染の有無など）、アクセス場所、時間帯などのコンテキスト情報を動的に評価（リスクベース認証）してアクセスの可否を決定します。このように、アイデンティティとデバイス管理（IAM/IDaaSやMDM）を信頼の起点とし、ネットワーク境界に依存しない堅牢な管理モデルを実現します。
試験でのポイント
応用情報技術者試験では、従来の「境界防御（ペリメータセキュリティ）」モデルとの根本的な考え方の対比が最大の出題テーマです。従来モデル（社内は安全、社外は危険）の限界（VPN装置の脆弱性を突いた不正侵入や、テレワーク・クラウドの普及による境界の消失）を克服するための新しい設計思想としてゼロトラストが出題されます。試験対策のポイントとしては、「アクセス元やアクセス経路の如何に関わらず、すべてのリソースに対するアクセスを動的に評価・検証する」「データ、端末、ユーザーのアカウントそれぞれにおいて毎回厳密に認可を行う」「NIST SP 800-207などの標準化ドキュメントで規定された基本概念（位置情報、デバイスの状態、通信の暗号化等）」に関する選択肢を見分ける力が必要です。また、これを支える代表的な技術（多要素認証：MFA、IDaaS、EDR、SD-WAN、SASEなど）とゼロトラスト思想の結びつきも併せて押さえておく必要があります。
関連する用語
社内と社外を物理的・論理的境界で分け、ファイアウォール等で守る境界防御（境界セキュリティ）、ID情報をクラウド上で一元管理するIDaaS（Identity as a Service）、端末の挙動を監視して脅威を検知するEDR（Endpoint Detection and Response）があります。これらとゼロトラストをセットで学ぶことで、テレワーク時代の最新のセキュリティ設計手法を体系化できます。